dormakaba evolo Service: Remote Code Execution über .NET-Komponente
Zusammenfassung
Der dormakaba evolo Service, ein Windows-Dienst für den Einsatz mit dem evolo Manager (KEM) und CardLink-Terminals, enthält eine Schwachstelle in einer .NET-Komponente, die es einem Angreifer erlaubt, beliebigen Code als SYSTEM auszuführen. Laut Hersteller ist eine Ausnutzung nur aus dem internen Netzwerk möglich, während die Advisory des Forschers einen nicht authentifizierten Angreifer beschreibt. Eine erfolgreiche Ausnutzung könnte die Kontrolle über das Türzugangssystem ermöglichen. Ein Hersteller-Fix ist nicht verfügbar.
Betroffen
- dormakaba evolo Service, alle Versionen (Hersteller-Advisory DKSA-26-31-031)
- Die Forscher-Advisory MLSA-2026-001 nennt Versionen bis und mit 7.1.76.0; der Hersteller bestätigt diese Versionsgrenze nicht
- Auch eigenständige Installationen des Dienstes sind betroffen
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche wurde kein Patch oder keine korrigierte Version des Herstellers gefunden.
Umgehung
- Den evolo Service vollständig deinstallieren, wenn keine CardLink Update Terminals verwendet werden; evolo-Manager-Installationen ohne den Dienst sind nicht betroffen
- Falls der Dienst weiterhin benötigt wird, den Host in einem geschützten Netzwerk betreiben und den Zugriff mit strikten Firewall-Regeln einschränken
- Den Zugriff auf den TCP-Port 8902 mit einer lokalen Host-Firewall-Regel einschränken
- Den Windows-Host von unsicheren Netzwerken fernhalten und nicht dem Internet aussetzen
Ausnutzung
- Bekannt ausgenutzt: nein. Es wurde kein Eintrag im CISA-KEV-Katalog gefunden.
- CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung total.
- Öffentlicher Proof of Concept: in der Recherche nicht gefunden; dies beweist jedoch nicht, dass keiner existiert.
Unsere Empfehlung
- Alle Hosts mit dem evolo Service identifizieren, einschliesslich eigenständiger Installationen
- Prüfen, ob CardLink Update Terminals im Einsatz sind
- Den Dienst entfernen, wo er nicht benötigt wird
- Wo er benötigt wird, den Host mit strikten Firewall-Regeln isolieren und den Zugriff auf TCP-Port 8902 einschränken
- Diese Hosts auf ungewöhnliche Aktivitäten überwachen und die Sicherheitshinweise des Herstellers auf einen Fix prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Vendor advisory DKSA-26-31-031 (PDF) assets.ctfassets.net
- dormakaba security advisories www.dormakabagroup.com
- Researcher advisory MLSA-2026-001 mogwailabs.de
- CISA ADP Vulnrichment record (via HOL) hol.org
- evolo Manager V7.2 operating manual res.cloudinary.com
- CVE Brief (third-party scoring) cvebrief.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.